to all developer：
写sql、hql都不要直接拼参数（不管有几个参数），用占位符预编译传参；
直接拼参数，1.容易错（拼字符串参数忘了单引号）2.不能防注入；
"select xx from tbl where id="+id (错误)
"select xx from tbl where id=?" (正确)SQL防注入
本文强调了在编写SQL查询时使用预编译语句的重要性，避免直接拼接字符串参数以防止SQL注入攻击，并确保代码的健壮性和安全性。
扫一扫
评论
条评论被折叠 查看
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
查看更多评论
添加红包
